Да, можем да изтрием всичко, не, не четем вашите SMS

Когато става дума за MDM, който представлява Управление на мобилни устройства, всички по някаква причина веднага си мислят за kill-switch, който дистанционно унищожава изгубен телефон по заповед на служител на ИБ. Не, в общи линии това също съществува, само без пиротехнически ефекти. Но има още куп рутинни задачи, които с MDM се изпълняват много по-лесно и безболезнено.

Бизнесът се стреми към оптимизация и унификация на процесите. И ако по-рано новият служител трябваше да отиде в мистериозен маз с проводници и лампички, където мъдри червеноглази старци помагаха да конфигурира корпоративната поща на неговия Blackberry, сега MDM се е развил в цяла екосистема, която позволява изпълнението на тези задачи с два клика. Ще говорим за сигурността, краставично-смородиновото „Кока-Кола“ и разликите между MDM, MAM, EMM и UEM. А също и за това как дистанционно можете да се наемете на работа за продажба на пирожки.

Петък в бара

Дори най-отговорните хора понякога почиват. И, както често се случва, те забравят раниците, лаптопите и мобилните телефони в кафета и барове. Най-голямата проблематика е в това, че загубата на тези устройства може да се превърне в огромно главоболие за отдела по информационна сигурност, ако те съдържат чувствителна информация за компанията. Служителите на Apple успяха да загубят прототипа на iPhone 4, а след това — iPhone 5. Да, сега повечето мобилни телефони идват с шифроване по подразбиране, но корпоративните лаптопи далеч не винаги са конфигурирани с шифроване на твърдия диск по подразбиране.

Освен това започнаха да се появяват заплахи, като целенасоченото отнемане на корпоративни устройства с цел добив на ценни данни. Телефонът е шифрован, всичко е максимално безопасно и така нататък. Но забелязахте ли камерите за наблюдение, под които отключихте телефона си преди да го откраднат? С оглед на потенциалната стойност на данните на корпоративното устройство, такива модели заплахи станаха напълно реални.

Всъщност хората са истински склеротици. Много компании в САЩ принудително започнаха да третират лаптопите като консумативи, които неизбежно ще бъдат забравени в бара, хотела или на летището. Има данни, че на същите летища в САЩ се забравят около 12 000 лаптопа всяка седмица, от които поне половината съдържат конфиденциална информация без никаква защита.

Всичко това значително увеличи сивите коси на специалистите по сигурността и доведе до разработването първо на MDM (Управление на мобилни устройства). След това се появи необходимостта от управление на жизнения цикъл на мобилни приложения на контролирани устройства и се появиха решения MAM (Управление на мобилни приложения). Преди няколко години те започнаха да се обединяват под общото название EMM (Управление на мобилна икономика) — единна система за управление на мобилни устройства. Пикът на цялата тази централизация са решенията UEM (Управление на единични крайни точки).

Скъпа, купихме зоопарк

Първите компании, които започнаха да се появяват, предлагаха решения за централизирано управление на мобилни устройства. Една от най-известните компании — Blackberry — все още съществува и се чувства добре. Дори в Русия присъства и продава своите продукти, основно за банковия сектор. На този пазар също влязоха SAP и различни по-малки компании като Good Technology, по-късно купена от същия Blackberry. По същото време концепцията BYOD придобиваше популярност, при която компании се опитваха да спестят, като позволят на служителите да носят своите лични устройства на работа.

Истината е, че много бързо стана ясно, че техническата поддръжка и ИТ безопасността вече треперят от запитвания като „Как да настроя MS Exchange на моят Arch Linux“ и „Нужен ми е директен VPN до приватното Git хранилище и продуктовата база данни от моя MacBook“. Без централизирани решения, всяко спестяване от BYOD се обръщаше в кошмар в управлението на целия зоопарк. На компаниите им беше нужно всичко управление да бъде автоматично, гъвкаво и безопасно.

В търговията на дребно историята се развиваше малко по-различно. Около 10 години назад компаниите внезапно осъзнаха, че се появиха мобилни устройства. По-рано служителите седяха зад топли лампови монитори, а наблизо незабелязано присъстваше брадач с пуловер, който караше всичко това да работи. С появата на пълноценни смартфони функциите на рядко срещаните специализирани КПК сега могат да бъдат прехвърлени на обикновено евтино серийно устройство. В същото време дойде осъзнаването, че с този зоопарк трябва да се справяме, тъй като платформите са много и всички те са различни: Blackberry, iOS, Android, след това – Windows Phone. В рамките на голяма компания всякакви ръчни действия са като изстрел в крака. Такъв процес би изял ценните човешки часове на ИТ отдела и поддръжката.

Вендорите в самото начало предлагаха отделни MDM продукти за всяка платформа. Ситуацията, в която се управляваха само смартфони на iOS или на Android, беше напълно типична. Когато със смартфоните се справиха повече или по-малко, стана ясно, че терминалите за събиране на данни в склада също трябва да се управляват. Важно е да изпратите нов служител в склада, за да сканира баркодовете на необходимите кутии и да въведе тези данни в базата. Ако имате складове в цялата страна, поддръжката става доста сложна. Необходимо е всяко устройство да бъде свързано към Wi-Fi, да бъде инсталирано приложение и да се осигури достъп до базата данни. С модерните MDM, а по-точно, EMM, взимате администратор, давате му конзола за управление и конфигурирате хиляди устройства с шаблонни сценарии от едно място.

Терминалите в McDonald’s

В търговията на дребно се наблюдава интересна тенденция - отдръпване от стационарните каси и точки за обработка на стока. Ако преди в същото М.Видео, когато харесаше чайник, трябваше да повикаш продавача и да вървиш с него през целия зал до стационарния терминал. По пътя клиентът имаше време десет пъти да забрави защо е тръгнал и да се откаже. Загубваше се същият ефект на импулсивната покупка. Сега решенията с MDM позволяват на продавача да се приближи веднага с POS терминал и да направи плащането. Системата обединява и конфигурира терминалите на склада и търговците от един контролен панел. В свое време една от първите компании, която започна да променя модела на традиционната каса, бе McDonald's със своите интерактивни панели за самообслужване и служители с мобилни терминали, които приемаха поръчки точно по средата на опашката.

Burger King също започна да развива своята екосистема, добавяйки приложение, което позволява да се направи поръчка от разстояние, за да бъде приготвена предварително. Всичко това се обединява в хармонична мрежа с управлявани интерактивни стойки и мобилни терминали при служителите.

Сам на себе си касиер

Много хипермаркети намаляват натоварването върху касиерите, като инсталират каси за самообслужване. „Глобус“ отиде по-далеч. На входа те предлагат да вземеш терминал Scan&Go с интегриран скенер, с който просто сканираш всичките стоки на място, разпределяш по пакети и излизаш, след като платиш. Не е нужно да минаваш през касата с разглобените по пакети продукти. Всички терминали също се управляват централизирано и се интегрират както със складовете, така и с другите системи. Някои компании експериментират с подобни решения, интегрирани в количките.

Хиляда вкуса

Отделна песен — това са вендинг автомати. На тях също така трябва да се обновява софтуера, да се следят запасите от горчиво кафе и сухо мляко. Важно е да се синхронизира всичко това с терминалите на обслужващия персонал. От големите компании в това отношение се отличава Coca-Cola, която обяви награда от $ 10 000 за най-оригиналната рецепта на напитка. По-точно, позволи на потребителите да смесват най-необичайните комбинации в фирмените си автомати. В крайна сметка се появиха варианти с джинджифилова и лимонова кола без захар и ванилово-прасковен „Спрайт“. Все още не са достигнали до вкуса на ушна кал, както в бонбоните Bertie Bott’s Every Flavour Beans, но са настроени много решително. Цялата телеметрия и популярността на всяка комбинация се следят внимателно. Всичко това също така се интегрира с мобилните приложения на потребителите.

Очакваме нови вкусове.

Продаваме питки

Цялата красота на MDM/UEM системите е в това, че можете бързо да разширите бизнеса си, свързвайки нови служители дистанционно. Можете напълно да организирате продажбата на условни питки в друг град с пълна интеграция със своите системи с два клика. Ще изглежда приблизително така.

На служителя му доставят ново устройство. В кутията — хартийка с баркод. Сканираме — устройството се активира, регистрира в MDM, взима софтуера, прилага го и се рестартира. Потребителят въвежда своите данни или еднократен токен. И това е всичко. Сега имате нов служител, който има достъп до корпоративната поща, информация за наличностите на склада, нужните приложения и интеграция с мобилния платежен терминал. Човекът идва на склада, взема стоките и ги носи на своите клиенти, приемайки плащане с помощта на същото устройство. Почти като в стратегии за наемане на нови единици.

Как изглежда

Една от най-функционалните UEM системи на пазара е VMware Workspace ONE UEM (преди AirWatch). Тя позволява интеграция практически с всяка мобилна и десктоп операционна система и с ChromeOS. Дори Symbian беше до неотдавна. Освен това Workspace ONE поддържа Apple TV.

Още един важен плюс. Apple позволява само на две MDM, включително Workspace ONE, предварително да се ровят в API-то преди пускането на новата версия на iOS. На всички останали в най-добрия случай — за месец, а на тях — за два.

Вие просто задавате необходимите сценарии за използване, свързвате устройството и след това всичко работи, така да се каже, automagically. Политиките се прилагат, ограниченията се налагат, предоставят се нужните права за достъп до вътрешни мрежови ресурси, зареждат се ключове и се инсталират сертификати. След няколко минути новият служител вече има напълно готово за работа устройство, от което непрекъснато тече необходимата телеметрия. Броят на сценариите е огромен, започвайки от блокировка на камерата на телефона в конкретна геолокация и завършвайки с SSO чрез пръстов отпечатък или лице.

Администраторът конфигурира стартер с всички приложения, които ще получи потребителят.

Също така, гъвкаво се настройват всички възможни и невъзможни параметри, като размер на иконите, забрана за преместването им, забрана за иконата на повиквания и контакти. Тази функционалност е полезна при използването на Android платформа като интерактивно меню в ресторант и подобни задачи.
От страна на потребителя, това изглежда горе-долу така

Има интересни решения и от други доставчици. Например, EMM SafePhone от НИИ СОКБ предоставя сертифицирани решения за безопасна предаване на глас и съобщения с шифруване и възможност за запис.

Рутнати телефони

Грижа за сигурността е рутнатите телефони, при които потребителят има максимални права. Не, чисто субективно това е идеалният вариант. Вашето устройство трябва да ви предоставя пълни права за управление. За съжаление, това противоречи на корпоративните задачи, които изискват отсъствие на възможност на потребителя да влияе на корпоративния софтуер. Например, той не трябва да има възможност да навлезе в защитената част от паметта с файлове или да подмъкне фалшив GPS.

Затова всички доставчици по един или друг начин се опитват да откриват всякакви подозрителни активности на управляваното устройство и да блокират достъпа при откритие на рут права или нестандартен фърмуер.

В Android обикновено се разчита на SafetyNet API. Периодично същият Magisk позволява да се заобиколят проверките, но, като правило, Google много бързо коригира това. Доколкото ми е известно, същият Google Pay все още не е заработил отново на рутнати устройства след пролетното обновление.

Вместо изхода

Ако сте голяма компания, трябва да помислите за внедряване на UEM/EMM/MDM. Съвременните тенденции показват, че тези системи намират все по-широко приложение – от заключени iPad устройства, използвани като терминали в сладкарници, до големи интеграции със складови бази и куриерски терминали. Единна точка на управление и бърза интеграция или смяна на ролята на служителя предоставят значителни предимства.

Моята поща — SVinogradskiy@croc.ru

Източник: habr.com